Azure DevOps流水线用System.AccessToken更新变量组权限报错求解

排查与解决建议 #

• 确认添加了正确的构建服务账号权限
  很多场景下经典流水线默认使用项目级构建服务账号而非集合级账号，格式为{你的项目名称} Build Service ({你的组织名称})，你之前仅配置了集合级账号权限，需要将该项目级账号也添加到变量组的管理员角色中。如果变量组是跨项目共享的，需要同时在变量组所属项目中配置两个账号的权限。
• 检查流水线作业的OAuth令牌访问开关
  进入经典流水线的编辑页，找到对应AzureCLI任务所在的作业，展开「选项」配置，确认允许脚本访问OAuth令牌选项已勾选，未开启时传入的$(System.AccessToken)仅具备基础只读权限，无法执行更新操作。
• 排查权限拒绝条目
  打开变量组的安全配置页，检查所有权限条目里是否有针对构建服务账号的「拒绝」类权限配置，Azure DevOps中拒绝权限优先级高于允许权限，即使配置了管理员角色，存在拒绝条目时也会触发权限不足报错。
• 验证az devops扩展版本
  部分预览版az devops扩展存在鉴权逻辑bug，可以在脚本中指定安装稳定版扩展，替换原有扩展安装命令为：

  az extension add --name azure-devops --version 0.26.0 --allow-preview false
  

• 检查项目级管道权限配置
  进入项目设置-管道-设置页，确认未开启「将作业授权范围限制为当前项目」选项，如果开启了该配置，跨项目变量组的修改请求会被拦截。

内容的提问来源于stack exchange，提问作者prakashrajansakthivel